BTC 钱包风险检测与恢复评估 #1058

### 1. 一句话结论
钱包 1058（BTC）目前持有 310.00021612 BTC，余额不为零；但**尚未获得明文密码**，且近期（近30天）无任何链上转入/转出活动，当前处于“有资产、无密码、静默观察”阶段。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：ID 1058，名称 `MEGA-BONUS / wallet_289.dat`，格式为 `bitcoin_legacy_bdb`，主地址 `1LWGFqGfEJEp4yxrzsbrJCmwaLjDqvjVLd`。
- **资产状态**：余额 310.00021612 BTC，业务标注“余额很小”为**否**，即资产规模不小。
- **密码状态**：`cracked_password/actual_password` 字段为**否**，即目前没有强证据表明已拿到明文密码。
- **文件信息**：大小 221184 字节，路径指向 `fake.czb.com/BTC/real/` 目录，录入时间 2026-06-23，最近更新 2026-08-06。
- **链上活动**：转出 1 笔，转入 19 笔；最后转出 2013-04-14，最后转入 2026-05-22；近30天转入/转出均为 0；交易跨度 4785 天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026 年 6 月 23 日被录入系统，当时数据快照显示它是一份 `bitcoin_legacy_bdb` 格式的旧版钱包文件。我们首先确认了它的主地址和余额——310 个 BTC 的存量让它立刻被标记为“高价值目标”。

随后我们拉取了链上交易摘要，发现一个有意思的时间结构：它在 2013 年有过一次转出，之后沉寂多年，直到 2026 年 5 月 22 日才出现最后一笔转入。这说明该地址在 13 年间被断续使用，但近期已完全静默。

在密码层面，我们检查了已知密码字段，结论是“否”——这意味着我们手头没有可直接解锁的明文密码。文件本身是 legacy BDB 格式，属于早期 Bitcoin Core 钱包，结构老旧但可解析。我们目前停留在“已确认资产、已确认格式、未确认密码”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 1 笔，发生在 2013-04-14 18:53:09。这是该地址唯一一次支出行为，距今已超过 13 年。
- **转入（receive）**：共 19 笔，最后一笔发生在 2026-05-22 11:00:50。说明该地址在 2026 年 5 月仍有入账。
- **近期动态**：近 30 天转入 0 笔、转出 0 笔，当前处于完全静默状态。
- **未知项**：我们**没有**每笔交易的金额、对手地址、时间戳明细，因此无法判断 310 BTC 是长期沉淀还是近期集中转入。若需进一步分析，需补充 `wallet_transactions` 的完整字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 310.00021612 BTC，**不满足**“余额很小（≤阈值）”的标注条件，因此不属于“低价值可忽略”类别。
- **密码状态**：`cracked_password/actual_password` 为**否**，即**尚未拿到明文密码**。我们也没有任何证据表明密码已被验证成功。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 获取 `wallet_transactions` 完整明细（金额、对手地址、时间戳），重建资金流向图。
2. 检查同一路径下 `fake.czb.com/BTC/real/` 目录中是否有其他钱包文件，确认是否属于同一批导入资产。
3. 调取 2026-05-22 最后一笔转入的对手地址，判断资金来源是否与已知交易所或矿池有关。
4. 核对 2013-04-14 唯一一笔转出的去向，确认是否与早期交易所有关联。
5. 尝试从钱包文件本身提取非密码类元数据（如创建时间、密钥类型、是否包含 HD 种子），用于缩小密码猜测范围。
6. 查询该地址在区块链浏览器上的完整历史标签（如是否被标记为黑客地址、混币器、或知名机构）。
7. 补充钱包文件的哈希值与录入时的原始校验和，确认文件未被篡改。
8. 若业务允许，可尝试联系地址持有者（若有 KYC 记录）进行合规找回流程。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了 HD 钱包或现代描述符格式，后续无需再对格式做重复探测。
- **密码强证据检查**：已确认 `cracked_password/actual_password` 为否，说明此前没有成功拿到明文密码，不应再假设“密码已存在”。
- **链上活跃度扫描**：已确认近 30 天无交易，短期监控价值低，无需高频轮询。
- **余额阈值判断**：已确认该钱包不属于“小额忽略”类别，后续应保持高优先级处理，而非降级归档。